CVSS, vectores y su mala lectura

CVSS (Common Vulnerability Scoring System) describe las características técnicas de una vulnerabilidad. Su puntuación base va de 0.0 a 10.0 y se agrupa en rangos cualitativos: Low (0.1 a 3.9), Medium (4.0 a 6.9), High (7.0 a 8.9) y Critical (9.0 a 10.0). La propia especificación de FIRST aclara que la puntuación no representa el riesgo de una organización: factores como el impacto en el negocio o el esfuerzo de corrección quedan fuera de CVSS.

Es decir, la base responde a «¿qué tan grave es este fallo en abstracto?», no a «¿qué tan urgente es para nosotros?».

Un vector de CVSS 3.1 empieza por CVSS:3.1/ y sigue con ocho métricas base, separadas por barras. Las cuatro primeras describen cómo se llega al fallo: AV (vector de ataque: N red, A adyacente, L local, P físico), AC (complejidad), PR (privilegios requeridos) y UI (interacción de usuario). S indica si el alcance cambia, y C, I y A miden el impacto en confidencialidad, integridad y disponibilidad.

Un vector con AV:N se puede intentar desde la red; uno con AV:P exige estar junto al equipo. Es la misma gravedad técnica, pero muy distinta superficie.

La métrica PR dice qué cuenta necesita quien intenta el fallo antes de empezar. Con PR:H hace falta una cuenta administrativa: el aviso solo lo explota alguien que ya tiene mucho poder. La puntuación baja por ello, pero, si el impacto es alto en las tres dimensiones, sigue siendo High.

Contar los avisos por su vector es una primera forma de ver la superficie: los de red (AV:N) los puede intentar cualquiera que llegue al servicio; los locales y los físicos necesitan estar ya dentro o en el sitio. Cuéntalos en la tabla de avisos de Huarango Energía.

El equipo de plataforma de Huarango corrige hoy por orden de puntuación base: el archivo cola/cola-actual.txt lo muestra. Nadie ha mirado qué componentes están expuestos ni si alguien explota ya alguno de los fallos. El jefe de ingeniería te pide una opinión sobre ese criterio.